AWS Transit VPCとは?

今回は複数のVPCをハブ&スポーク型のネットワーク構成にし、VPC間のルーティングを可能とするAWSのソリューション「Transit VPC」を紹介します。

スポンサーリンク

Transit VPCとは?

Transit VPCとは、ハブとなるVPCにCisco CSR 1000v(Juniper vSRXも可)を配置し、スポークとなるVPCのVGWとVPN接続して、ハブ&スポーク型のネットワークを構築するソリューションです。
従来VPC間の接続はVPC Peeringがありましたが、これはVPCをまたいだルーティングができないため、通信するVPCは直接Peeringする必要があり、複数のVPCの場合、構成が非常に複雑になる欠点がありました。
一方Transit VPCは、VGWとCSR間でダイナミックルーティングを回し、CSRがハブとして各スポークのVPCにルーティングできるため、ハブ&スポークで構成をシンプルにすることができます。また、VPCのほかにもDirectConnectやオンプレとのVPN、他クラウドサービスとのVPN接続も含めたハブ&スポーク構成が可能です。

 

Transit VPCの機能

まずはじめに注意しておきたいのが、Transit VPCはVGWのようなAWSのマネージドサービスではなく、CSR等の仮想ルータのインスタンスとAWS Lambda等の複数のサービスをCloud Formationでテンプレート化したパッケージ製品ようなイメージです。なので、CSRはユーザー側に運用保守する責任があります。
Transit VPCの主な構成要素は以下の4つです。

・CSR100v×2台
・VGW Poller(Lambda Function)
・Amazon S3 backet
・Cisco Configurator(Lambda Function)

まず、AWSのガイドに用意されたテンプレートを使用してスタックを作成すると、新規VPCもしくは既存VPC内にCSR1000vが構築、S3バケットが作成され、2つのLambda Functionの自動実行設定が行われます。
そして、以下の順序で自動的にネットワークを構成していきます。

[1]
1分間おきにCloudWatch EventがVGW Pollerを実行し、自アカウント内で特定のタグがついており、かつVPN接続していないVGWを探索します。

[2]
対象のVGWが見つかると、CSRとVPNを張るためのカスタマゲートウェイの設定を自動で行い、その設定情報をS3バケットに保存します。

[3]
S3バケットのイベント通知でCisco Configuratorを実行させ、VPN接続に必要な情報を取得・生成します。

[4]
生成したconfigをCisco ConfiguratorがSSH経由でCSRに設定します。

[5]
上記の設定が終わると、自動的にVPNトンネルがUpし、スポークVPC側とBGPで経路交換が行われます。


 

参考

今回参考にしたのは、こちらの内容です。
https://docs.aws.amazon.com/ja_jp/solutions/latest/cisco-based-transit-vpc/welcome.html/

 

ちなみに

つい先日のRe:Invent2018でTransit GatewayというTransit VPCに似たマネージドサービスが発表されました。VPNが必須という要件がなければ、自身でインスタンスを運用保守する必要がないため、Transit Gatewayを使用するほうが適切かもしれません。

 

スポンサーリンク
 

コメント